AWS Client VPN: gelitaanku wuu guulaystaa laakiin subnet-ka lama gaadho

Macaamiilkaagu wuxuu leeyahay Connected, shahaadadu waa ansax, haddana bogga intranet-ka wali wuu dhamaadaa waqti dhaaf. Farqigaas badanaa ma aha xaqiijin. AWS Client VPN waxay fasax u siisaa goobaha si gooni ah gelitaanka, labadana sababood ee caadiga ah waa qiime koox oo aan la mid ahayn wixii ay soo dirtay bixiyaha aqoonsiga iyo qaanuun goob oo gaar ah oo ka adkaada qaanuunka ballaaran. Labadaba waxaa lagu arkaa habaynta endpoint-ka marka aad taqaan halka laga eegayo.

Gelitaanku wuu guulaystay; qaanuunku ma aysan habboonayn

Xaqiijintu waxay ka jawaabtaa yaa isticmaalaha ah. Qaanuunnada fasaxa waxay ka jawaabaan horgalaha shabakadee ay aqoonsigan gaadhi karto. Isticmaale wuu dhaafi karaa kan koowaad oo ku guuldareystaa kan labaad, macaamiilkuna wuxuu ku siinayaa wax yar oo ka badan xiriir sii socda inta codsi kastaa waqti dhaaf ku dhammaanayo.

Ku bilow inaad xaqiijiso in endpoint-ku leeyahay qaanuun fasax oo goobtiisu ka kooban tahay cinwaanka guuldareysta. Haddii aanu jirin qaanuun u dhigma, xiriirku si sax ah ayuu u dhaqmayaa; siyaasadda ayaa maqan.

Xagee qiimaha kooxdu runtii ka yimaadaa

Active Directory dhexdiisa, goobta access-group waxay haysataa SID-ka kooxda, ee ma aha magaceeda muuqda. SAML federation dhexdeeda, waxay haysataa aqoonsiga ama magaca kooxda ay sida dhabta ah u qaado sifada kooxda SAML ee la habeeyay. Qiimaha ka koobi assertion-ka ama raadinta buugga, ee ma aha bogga wiki.

Kooxda IAM waa heerar kontorool oo kale. Fasaxa maamulka endpoint Client VPN kama dhigto koox IAM kooxda VPN ee isticmaalaha, mana u beddelo magac koox IAM oo lagu dhejiyay goobta access-group SID AD ama qiime sifada SAML.

Koox magac la mid ah oo ku jirta buug kale waxba ma caddeyso. Hubi habka xaqiijinta endpoint-ka iyo xubinimada isticmaalaha ama assertion-ka isla nidaamkaas.

Horgalaha ugu dheer ayaa guuleysta, oo ay ku jirto 0.0.0.0/0

Fasaxa waxaa lagu qiimeeyaa iswaafajinta horgalaha ugu dheer, qaanuunka dhammaan goobahana waxaa la qiimeeyaa ugu dambeeya, ee ma aha marka hore. Ku dar qaanuun 10.46.0.0/16 oo loogu talagalay Engineering iyo qaanuun 0.0.0.0/0 oo dhammaan, haddana isticmaale ka baxsan Engineering kama gaadhi karo 10.46.20.10 qaanuunka ballaaran.

Halkan ayaa hagaajin khaldami kartaa. Tirtiridda qaanuunka cidhiidhiga ah waxay soo celinaysaa gelitaanka isticmaalaha waxayna sidoo kale subnet-kaas siinaysaa aqoonsi kasta oo uu daboolo qaanuunka ballaaran. Dhis shaxda koox-ilaa-shabakad kahor intaadan wax tirtirin, oo qor kooxaha kee ay tahay inay gaadhaan baaxaddee. Qaanuunnadani waxay kaliya fasaxaan; ma jiro gelin diidmo ah oo laga gooyo ka reebista fasax ballaaran.

Isbeddellada waxay sidoo kale u baahan yihiin xiriir cusub si si cadaalad ah loo qiimeeyo. Dib u xiriir macaamiilka kadib tafatirka qaanuunnada, ka dibna mar kale tijaabi.

Kala sooc fasaxa iyo wadada xogta

Qaanuun u dhigma ma aha waddo. endpoint-ku wuxuu u baahan yahay subnet xiriir leh iyo gelin shaxda waddooyinka oo loogu talagalay goobta, kooxda amniga kheyraadka bartilmaameedkuna waa inay aqbasho taraafikada. Taraafikada soo noqodka iyo DNS sidoo kale waa inay shaqeeyaan.

Tijaabi isticmaale ay tahay inuu guuleysto iyo isticmaale ay tahay inuu bannaanka ku sii ahaado. Labaduba way geli karaan iyadoo kaliya mid gaadho subnet-ka, farqigaasna waa caddaynta aad rabto.

Haddii cinwaanka IP uu shaqeeyo laakiin magaca martigeliyaha uusan shaqeyn, fiiri resolver-ka kahor intaadan taaban fasaxa. Haddii aanu jirin waddo daboolta cinwaanka, hagaaji xiriirka ama shaxda waddooyinka. Haddii xirmadu timaado oo adeeggu diido, joogsiga xiga waa siyaasadda adeeggaas. Ballaarinta shaxda fasaxa dhammaan isticmaalayaasha waxay qarinaysaa lakabkee ayaa runtii jabay.

Kahor intaadan xidhin ticket-ka, qor isha aqoonsiga, qiimaha saxda ah ee kooxda, horgalayaasha goobta iyo waddada qaadda taraafikada. Diiwaankaas wuxuu warbixinta xigta ee ku saabsan xiriir laakiin aan gelitaan lahayn u beddelaa isbarbardhig laba daqiiqo ah halkii uu ahaan lahaa wareeg kale oo mala-awaal ah.